Ваш браузер может стать частью ботнета из-за опасной уязвимости в Chrome и Edge

Недавно обнаруженная критическая уязвимость в движке Chromium может превратить ваш веб-браузер в часть ботнета без вашего ведома. Эта брешь в безопасности затрагивает популярные браузеры, такие как Google Chrome и Microsoft Edge, позволяя вредоносным сайтам скрытно перехватывать контроль над ними. Для активации эксплойта не требуется установка приложений, нажатие на всплывающие окна или подтверждение разрешений — иногда достаточно просто открыть зараженную страницу.

По данным исследователя кибербезопасности Лиры Ребане, обнаружившей проблему и сообщившей о ней компании Google ещё в 2022 году, уязвимость остается неустраненной спустя почти два с половиной года (29 месяцев). Внутри компании Google она была классифицирована как «серьёзная» (уровень S1), что является второй по значимости категорией.

Суть уязвимости

Отчеты, опубликованные со ссылкой на Ars Technica, показывают, что проблему обнаружила независимый исследователь кибербезопасности Лира Ребане, которая конфиденциально сообщила о ней компании Google в конце 2022 года. Спустя почти два с половиной года уязвимость, как сообщается, по-прежнему не исправлена — и теперь в открытом доступе находится демонстрационный код эксплойта (proof-of-concept).

В основе уязвимости лежит функция Browser Fetch — веб-стандарт, разработанный для удобства пользователя. Он позволяет браузерам продолжать загрузку больших файлов или видео в фоновом режиме, даже если вкладка закрыта. Однако, согласно данным Ребане, злоумышленники могут использовать эту систему для создания длительных фоновых соединений между браузером жертвы и удаленным сервером. Таким образом, вредоносный веб-сайт может незаметно превратить браузер в небольшой элемент инфраструктуры кибератаки.

Невидимая угроза

Представьте ситуацию: пользователь открывает совершенно обычный, на первый взгляд, веб-сайт — возможно, страницу с рецептом, ссылку с Reddit или случайный результат поисковой выдачи. В фоновом режиме этот сайт может установить постоянное соединение, которое будет активно долгое время после закрытия страницы. Браузер жертвы при этом может быть использован в качестве анонимного прокси, для перенаправления вредоносного трафика, участия в распределенных атаках типа «отказ в обслуживании» (DDoS) или даже для получения ограниченных данных о его активности в интернете.

Особенность этой уязвимости заключается в её невидимости. В некоторых браузерах на базе Chromium соединение может сохраняться даже после перезапуска самого браузера или компьютера. Обычный пользователь практически не сможет заметить ничего необычного. Это отличает проблему от традиционного вредоносного ПО, поскольку все действия происходят непосредственно внутри браузера.

Реакция Google и перспективы

По словам Ребане, инженеры Google изначально признали сообщение о проблеме «серьёзной уязвимостью» и присвоили ей внутреннюю классификацию S1 — это вторая по значимости категория критичности в компании. Тем не менее, несмотря на такую классификацию, ошибка оставалась в трекере багов Chromium около 29 месяцев без выпуска исправления для пользователей.

Ребане, ранее сообщавшая о других проблемах безопасности в Chrome, отмечает, что медленная реакция разработчиков, к сожалению, является обычным явлением. Однако даже по меркам стандартов безопасности браузеров столь длительная задержка в исправлении вызывает вопросы. По её предположению, уязвимость попала в «серую зону»: достаточно опасна, чтобы быть значимой, но не настолько катастрофична, чтобы спровоцировать немедленные действия, поскольку она не раскрывает напрямую файлы, пароли или электронную почту пользователей.

Тем не менее, более широкие последствия игнорировать сложно. Уязвимость, способная бесшумно превращать браузеры в часть небольшого ботнета, не является незначительной — особенно учитывая, что Chromium лежит в основе не только Chrome и Edge, но и значительной части современной экосистемы веб-браузеров.

Что делать пользователям?

Выявить, был ли затронут пользователь, также довольно сложно. Ребане отмечает, что Microsoft Edge может кратковременно отображать всплывающее окно, связанное с загрузками, хотя никаких файлов при этом не появляется. Chrome может вести себя аналогично, однако даже это предупреждение может исчезнуть после первого появления. Большинство пользователей, скорее всего, воспримут это как сбой в работе браузера и не придадут значения.

На данный момент публично подтвержденного исправления нет, и Google не уточнила, когда именно можно ожидать выпуска патча. Это ставит пользователей в неудобное положение: им известно о существовании серьёзного эксплойта для браузеров, но при этом они мало что могут реально предпринять. Пока что самым безопасным подходом является избегание подозрительных веб-сайтов и осторожность при переходе по неизвестным ссылкам.